En Elementor WordPress-sårbarhed kan gøre det muligt for angribere at oprette administratorkonti, efter at en indlogget webstedsadministrator åbner et ondsindet link. Problemet påvirker Elementor-versionerne 4.3.0 og 4.3.1. Elementor rettede det i version 4.3.2.
Ondsindet link bruger en administrators session
Sårbarheden involverer cross-site request forgery, eller CSRF. En angriber behøver ikke en konto på det berørte websted. I stedet skal angriberen overtale en person, der allerede er logget ind, til at åbne et særligt udformet link.
Anmodningen kører derefter gennem personens godkendte WordPress-session. Som følge heraf kan den udføre handlinger, som personens konto tillader. Hvis offeret har administratorrettigheder, kan angriberen oprette en ny administratorkonto på en standardinstallation.
Ifølge sikkerhedsfirmaet Patchstack kan en angriber levere linket via en e-mail, chatbesked eller kommentar på et websted. Angrebet kræver ikke en separat ondsindet webside, JavaScript eller indsendelse af en formular.
Elementor kontrollerer den forkerte del af anmodningen
Patchstack sporede Elementor WordPress-sårbarheden til pluginets Editor Events-modul. Modulet kontrollerede den rå anmodningsadresse for en Elementor Events-sti, før det omgik WordPress REST API’s nonce-validering.
En angriber kunne dog placere denne sti i en forespørgselsparameter, mens anmodningen blev sendt til et andet REST API-endpoint. Elementor ville derefter springe valideringskontrollen over for en anmodning uden for den tilsigtede Events-rute.
Angrebet afhænger stadig af, at en indlogget bruger åbner linket. De handlinger, som angriberen kan udføre, afhænger også af brugerens tilladelser. Derfor udgør en administratorkonto det mest alvorlige tilfælde.
Version 4.3.2 lukker omgåelsen
En sikkerhedsforsker kendt som Saggre rapporterede problemet til Patchstack, som underrettede Elementor den 22. september. Elementor udgav version 4.3.2 den 24. september.
Opdateringen kontrollerer den fastlagte REST API-rute i stedet for at søge i den rå anmodningsadresse. Derfor kan en angriber ikke længere udløse omgåelsen ved at tilføje Events-stien til en forespørgselsstreng.
Webstedsejere, der bruger Elementor 4.3.0 eller 4.3.1, bør opdatere til version 4.3.2 eller nyere. Tidligere versioner indeholder ikke dette specifikke sårbare modul, men de kan have andre sikkerhedssårbarheder.
0 svar til “Sårbarhed i Elementor til WordPress kan lade angribere oprette administratorkonti”